"Bağlantınız gizli değil" ve NET::ERR_CERT Hataları: Nedenleri ve Çözümü

NET::ERR_CERT hataları ne anlama geliyor?

Chrome, Edge ve diğer Chromium tabanlı tarayıcıların ağ hata kodları Chromium projesindeki net_error_list.h dosyasında tanımlıdır. Sertifika hataları -200 ile başlayan bir aralıktadır. Dosyadaki açıklamalara göre en sık görülen dört kod şunlardır:

Aynı listede ERR_CERT_WEAK_SIGNATURE_ALGORITHM (-208, zayıf imza algoritması) gibi daha seyrek kodlar da vardır. Chrome yardım sayfası bu kodları "Bağlantınız gizli değil" ve "SSL sertifika hatası" başlıkları altında birlikte ele alır. Tüm kodların tam listesini Chrome adres çubuğuna chrome://network-errors/ yazarak görebilirsiniz.

Firefox'taki karşılıkları

Firefox aynı durumları kendi kodlarıyla gösterir. Mozilla destek belgelerine göre:

• SEC_ERROR_UNKNOWN_ISSUER: Sertifikayı veren otorite tanınmıyor. Chrome'daki ERR_CERT_AUTHORITY_INVALID ile aynı aileden; tek bir sitede görülüyorsa genellikle eksik ara sertifika ya da kendinden imzalı sertifika, birçok sitede birden görülüyorsa bağlantıyı araya girerek tarayan bir yazılım söz konusudur.
• SEC_ERROR_EXPIRED_CERTIFICATE: Sertifikanın süresi dolmuş. Mozilla, cihazınızın tarih, saat veya saat dilimi yanlışsa da bu uyarının çıkabileceğini belirtir.
• SSL_ERROR_BAD_CERT_DOMAIN: Site, o alan adı için geçerli olmayan bir sertifika kullanıyor. Chrome'daki ERR_CERT_COMMON_NAME_INVALID karşılığıdır.

Ziyaretçiyseniz: güvenle neleri deneyebilirsiniz?

1. Cihazınızın tarih ve saatini kontrol edin

Chrome yardım sayfasına göre "Saatiniz geri", "Saatiniz ileri" veya NET::ERR_CERT_DATE_INVALID hatası, bilgisayarınızın ya da telefonunuzun tarihi ve saati yanlış olduğunda çıkabilir. Saat ayarlarını açın, saati ve saat dilimini otomatik ayarlayın, ardından sayfayı yenileyin. Pili bitmiş eski bilgisayarlarda ve uzun süre kapalı kalan cihazlarda bu çok yaygındır.

2. Herkese açık Wi-Fi ise önce portala giriş yapın

Kafe, otel veya havalimanı ağlarında internete çıkmadan önce bir giriş sayfasından oturum açmanız gerekir. Bu sırada ağ, HTTPS isteklerinizi kendi sayfasına yönlendirdiği için sertifika hatası görürsünüz. Chrome'un önerisi, http://example.com gibi "http://" ile başlayan bir adrese gidip açılan portal sayfasında oturum açmaktır. Giriş yaptıktan sonra asıl siteyi tekrar deneyin.

3. Antivirüsün HTTPS tarama özelliğini kontrol edin

Chrome, "HTTPS koruması" veya "HTTPS taraması" yapan antivirüs yazılımlarının bu hataya yol açabileceğini belirtir. Hata birçok sitede birden çıkıyorsa olası neden budur. Antivirüsünüzün ayarlarında bu özelliği bulun; test için yalnızca kısa süreliğine kapatın ve işiniz bitince mutlaka yeniden açın. İş bilgisayarında ZScaler, Palo Alto Networks veya Fortinet gibi HTTPS denetimi yapan bir proxy varsa NET::ERR_CERT_AUTHORITY_INVALID görmeniz beklenen bir durumdur; Chrome bu durumda kendi başınıza sertifika yüklemek yerine sistem yöneticinize başvurmanızı önerir.

4. Gizli pencere, uzantılar ve güncellemeler

• Sayfayı gizli pencerede açın. Orada sorun yoksa bir uzantı veya tarama verisi suçludur; uzantıları tek tek kapatarak bulun.
• İşletim sisteminizi ve tarayıcınızı güncelleyin. Eski sistemlerde güncel kök sertifikalar eksik olabilir.
• VPN veya proxy kullanıyorsanız kapatıp deneyin.
• Başka bir ağdan (örneğin mobil veri) ve başka bir cihazdan açmayı deneyin. Hata her yerde aynıysa sorun büyük olasılıkla sitededir; site sahibine bildirin.

Site sahibiyseniz: sertifikayı nasıl kontrol edersiniz?

Önce sorunun gerçekten sertifikada olduğunu doğrulayın. En güvenilir araç openssl s_client komutudur. OpenSSL belgesine göre -connect bağlanılacak sunucu ve portu, -servername ise TLS el sıkışmasında gönderilecek SNI adını belirler. Paylaşımlı hostinglerde aynı IP üzerinde çok sayıda site bulunduğu için -servername vermek önemlidir; aksi halde başka bir sitenin sertifikasını görebilirsiniz.

# Sunucunun gönderdiği sertifika zincirini gösterir
openssl s_client -connect ornek.com:443 -servername ornek.com -showcerts </dev/null

# Sertifikanın kime ait olduğu, kim tarafından verildiği, geçerlilik tarihleri ve kapsadığı alan adları
echo | openssl s_client -connect ornek.com:443 -servername ornek.com 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

# Sertifika 14 gün (1209600 saniye) içinde doluyor mu? Doluyorsa sıfır dışı çıkış kodu döner
echo | openssl s_client -connect ornek.com:443 -servername ornek.com 2>/dev/null \
  | openssl x509 -noout -checkend 1209600

-dates çıktısındaki notAfter satırı son kullanma tarihidir. subjectAltName satırında sitenizin hem çıplak alan adı hem de www hali (ya da kullandığınız alt alan adı) listelenmelidir. -showcerts çıktısında yalnızca tek sertifika (0 numaralı) görüyorsanız sunucu ara sertifikayı göndermiyor demektir. OpenSSL belgesi bu çıktının "doğrulanmış bir zincir olmadığını", yalnızca sunucunun gönderdiği sırayı gösterdiğini not eder.

Komutun sonundaki Verify return code satırı size sorunu söyler. Kendi testimizde OpenSSL 3.5.4 ile farklı hatalı sertifikalara bağlandığımızda şu sonuçları aldık:

Sık görülen nedenler ve çözümleri

Eksik ara sertifika: fullchain kullanın

Nginx belgesi bu durumu şöyle açıklar: sertifikayı veren otorite, sunucu sertifikanızı tarayıcıların kök deposunda bulunmayan bir ara sertifikayla imzalamıştır. Sık kullanılan tarayıcılar daha önce gördükleri ara sertifikaları sakladığı için bazı ziyaretçilerde hata çıkmaz, bazılarında çıkar. Bu yüzden "bende açılıyor ama müşteri hata görüyor" şikâyetinin en yaygın nedeni eksik zincirdir. Çözüm, sunucu sertifikasının önce, ara sertifikaların sonra geldiği birleşik bir dosya kullanmaktır.

Certbot belgesine göre /etc/letsencrypt/live/alanadi/ klasöründeki fullchain.pem sunucu sertifikasını ve ara sertifikaları birlikte içerir; Nginx'in ssl_certificate ve Apache 2.4.8 ve sonrasının SSLCertificateFile yönergesi bu dosyayı kullanmalıdır. Yalnızca cert.pem verirseniz zincir eksik kalır.

# Nginx
server {
    listen 443 ssl;
    server_name ornek.com www.ornek.com;
    ssl_certificate     /etc/letsencrypt/live/ornek.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/ornek.com/privkey.pem;
}

# Apache 2.4.8 ve sonrası
<VirtualHost *:443>
    ServerName ornek.com
    ServerAlias www.ornek.com
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/live/ornek.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/ornek.com/privkey.pem
</VirtualHost>

Apache belgesi, 2.4.8 sürümünden itibaren SSLCertificateFile dosyasının ara sertifikaları da içerebildiğini ve bu nedenle SSLCertificateChainFile yönergesinin artık gereksiz olduğunu belirtir. Elinizde ayrı ayrı dosyalar varsa Nginx belgesindeki gibi birleştirebilirsiniz: cat ornek.com.crt bundle.crt > ornek.com.chained.crt. Sıra yanlış olursa Nginx başlamaz ve anahtar uyuşmazlığı (key values mismatch) hatası verir. Değişiklikten sonra nginx -t ile yapılandırmayı test edip yeniden yükleyin.

Sertifika www veya alt alan adını kapsamıyor

Sertifika yalnızca ornek.com için alınmış ve ziyaretçi www.ornek.com adresine geliyorsa ERR_CERT_COMMON_NAME_INVALID görür. Certbot belgesine göre mevcut sertifikaya alan adı eklemek için --expand seçeneğiyle mevcut ve yeni tüm adları -d ile vermeniz gerekir. Belge, yenileme sırasında "www. alan adlarını unutmayın" diye özellikle uyarır.

sudo certbot certificates                       # yönetilen sertifikalar, alan adları ve bitiş tarihleri
sudo certbot --expand -d ornek.com -d www.ornek.com
sudo certbot renew --dry-run                    # yenilemenin çalışıp çalışmayacağını kaydetmeden test eder

Bir alt alan adını (örneğin magaza.ornek.com) sertifikaya eklemeden önce DNS kaydının sunucunuzu gösterdiğinden emin olun; aksi halde doğrulama başarısız olur. DNS tarafı için DNS hataları rehberimize bakabilirsiniz.

cPanel kullanıyorsanız

cPanel'de Security > SSL/TLS Status ekranı, alan adlarınızın sertifika durumunu, süresi yaklaşan veya korumasız alan adlarını gösterir. cPanel belgesine göre Certificate Status sütununda AutoSSL'in o alan adı için son çalıştığı zaman ve varsa hata mesajı görünür; AutoSSL hataları sunucuda /var/cpanel/logs/autossl/ klasörüne yazılır. AutoSSL Statuses filtresiyle hangi alan adlarının AutoSSL kapsamında olduğunu görebilirsiniz. Bu ekranın görünüp görünmemesi hosting sağlayıcınızın ayarlarına bağlıdır.

Let's Encrypt yenileme sorunları ve kısalan sertifika ömrü

Let's Encrypt SSS sayfasına göre varsayılan sertifikalar 90 gün geçerlidir; ayrıca isteğe bağlı 6 günlük kısa ömürlü sertifikalar da vardır ve bu süreler değiştirilemez. Ancak Let's Encrypt Aralık 2025'te ömrü kademeli olarak kısaltacağını duyurdu:

• 13 Mayıs 2026: İsteğe bağlı tlsserver profili 45 günlük sertifika vermeye başladı.
• 10 Şubat 2027: Varsayılan classic profil 64 günlük sertifikalara geçecek.
• 16 Şubat 2028: Varsayılan profil 45 günlük sertifikalara geçecek.

Bunun pratik sonucu şudur: "her 60 günde bir yenile" gibi sabit bir zamanlama yakında yetmeyecek. Let's Encrypt, istemcinin ACME Renewal Information (ARI) desteğini kullanmasını, bu mümkün değilse sertifika ömrünün yaklaşık üçte ikisi dolduğunda yenilemeyi ve elle yenilemeden kaçınmayı öneriyor. Sertifikanız beklenmedik şekilde dolduysa şunlara bakın:

• Yenileme görevi (cron veya systemd zamanlayıcısı) gerçekten çalışıyor mu? certbot renew --dry-run hata veriyor mu?
• Alan adının DNS kaydı hâlâ bu sunucuyu gösteriyor mu? Site başka sunucuya taşındıysa doğrulama başarısız olur.
• HTTP doğrulaması için 80 numaralı port açık mı, /.well-known/acme-challenge/ yolu bir yönlendirme veya güvenlik kuralıyla engelleniyor mu?
• Yeni sertifika alındığı halde web sunucusu yeniden yüklenmediği için eski sertifikayı sunmaya devam ediyor olabilir.

Kurulum adımları için Let's Encrypt SSL kurulumu rehberimize bakabilirsiniz.

Hata günlüğünü nerede okursunuz?

Sertifika hataları tarayıcı tarafında oluştuğu için çoğu zaman web sunucusunun hata günlüğüne düşmez; tarayıcı bağlantıyı el sıkışma aşamasında keser. Yine de yapılandırma hatalarını (yanlış dosya yolu, anahtar uyuşmazlığı) görmek için Nginx'te error_log, Apache'de ErrorLog yönergesinin gösterdiği dosyaya bakın; dosya konumu dağıtıma ve kuruluma göre değişir. Nginx'te her değişiklikten sonra nginx -t çalıştırmak, sertifika dosyası bulunamadığında bunu hemen gösterir. Let's Encrypt yenileme hataları için Certbot'un kendi günlüğü, cPanel'de ise yukarıda anlatılan SSL/TLS Status ekranı daha faydalıdır.

Sık Sorulan Sorular

"Bağlantınız gizli değil" uyarısında siteye devam etmek güvenli mi?

Giriş, ödeme veya kişisel veri içeren bir sitede hayır. Uyarı, bağlantının sahte bir sunucuya gidiyor ya da araya girilmiş olabileceği anlamına gelir. Önce saatinizi, Wi-Fi portalını ve antivirüs ayarını kontrol edin; sorun sürerse site sahibine bildirin.

Sitem bende açılıyor, müşteride neden sertifika hatası veriyor?

En sık neden eksik ara sertifikadır. Tarayıcınız ara sertifikayı daha önce başka bir siteden öğrenip sakladığı için sizde sorun çıkmaz. openssl s_client -showcerts çıktısında tek sertifika görüyorsanız Nginx'te fullchain.pem kullanın.

NET::ERR_CERT_DATE_INVALID her sitede çıkıyorsa ne yapmalıyım?

Sorun büyük olasılıkla sizin cihazınızdadır. Tarih, saat ve saat dilimini otomatik ayara alın. Tek bir sitede çıkıyorsa o sitenin sertifikasının süresi dolmuştur.

Let's Encrypt sertifikası kaç günde bir yenilenmeli?

Şu an varsayılan sertifikalar 90 gündür, ancak 10 Şubat 2027'den itibaren 64, 16 Şubat 2028'den itibaren 45 güne iner. Sabit gün sayısına güvenmek yerine otomatik yenileme ve mümkünse ARI desteği kullanın.

Kendinden imzalı sertifika kullanabilir miyim?

Yalnızca kendi test ortamınızda. Herkese açık bir sitede ziyaretçiler ERR_CERT_AUTHORITY_INVALID görür. Ücretsiz Let's Encrypt sertifikası bu sorunu çözer.

Yazılım, tarayıcı ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen şirketlerle ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: ERR_SSL_PROTOCOL_ERROR çözümü · Mixed content (karma içerik) hatası · ERR_TOO_MANY_REDIRECTS çözümü · Let's Encrypt SSL kurulumu · SSL sertifikası nasıl alınır · HTTPS ve TLS 1.3 rehberi · Nginx yapılandırma rehberi